4. Методи і принципи парирування загрозам безпеки

  Зменшити негативну дію загроз безпеки інформації можливо різними методами. Серед таких методів можна виділити чотири основної групи:

• Організаційні методи;

• Інженерно-технічні методи;

• Технічні методи;

• Програмно-апаратні методи.

Організаційні методи в основному орієнтовані на роботу з персоналом, вибір місцеположення і розміщення об'єктів корпоративної мережі, організацію систем фізичного і протипожежного захисту, організацію контролю виконання вжитих заходів, покладання персональної відповідальності за виконання заходів захисту. Ці методи застосовуються не тільки для захисту інформації і, як правило, вже частково реалізовані на об'єктах корпоративної мережі. Проте, їх застосування дає значний ефект і скорочує загальне число загроз.

Інженерно-технічні методи пов'язані з побудовою оптимальних мереж інженерних комунікацій з урахуванням вимог безпеки інформації. Це досить дорогі методи, але вони, як правило, реалізуються ще на етапі будівництва або реконструкції об'єкту, сприяють підвищенню його загальної живучості і дають високий ефект при усуненні деяких загроз безпеки інформації. Деякі джерела загроз, наприклад обумовлені стихійними лихами або техногенними чинниками, взагалі не можуть бути усунені іншими методами.

Технічні методи засновані на застосуванні спеціальних технічних засобів захисту інформації і контролю обстановки і дають значний ефект при усуненні загроз безпеки інформації, пов'язаних з діями криміногенних елементів по добуванню інформації незаконними технічними засобами. Крім того, деякі методи, наприклад резервування засобів і каналів зв'язку, надають ефект при деяких техногенних чинниках.

Програмно-апаратні методи в основному націлені на усунення загроз, безпосередньо пов'язаних з процесом обробки і передачі інформації. Без цих методів неможлива побудова цілісної комплексної системи інформаційної безпеки.

Зіставимо описані вище загрози безпеки інформації і групи методів їх парирування . Це дозволить визначити якими ж методами які загрози найбільш доцільно парирувати і визначити співвідношення в розподілі засобів, виділених на забезпечення безпеки інформації між групами методів.

Аналіз результатів моделювання, з урахуванням прийнятих в моделі обмежень і допущень, дозволяє сказати, що всі групи методів парирування загрозам безпеки інформації мають приблизно рівну частку в організації комплексного захисту інформації. Проте необхідно врахувати, що деякі методи можуть бути використані тільки для вирішення обмеженого круга задач захисту. Це особливо характерно для усунення загроз техногенного і стихійного характеру.

Щонайбільший ефект досягається при застосуванні сукупності організаційних і програмно-апаратних методів парирування. Аналіз вагових коефіцієнтів програмно-апаратних методів дозволяє зробити висновок, що гіпотетичний засіб захисту корпоративної мережі, перш за все, повинен забезпечувати розмежування доступу суб'єктів до об'єктів (мандатний і дискреційний принципи), управляти зовнішніми потоками інформації (фільтрація, обмеження, виключення) і, як мінімум, забезпечувати управління внутрішніми потоками інформації з одночасним контролем цілісності програмного забезпечення, конфігурації мережі і можливості атак руйнуючих дій.

Парирування загрозам безпеки інформації завжди носить недружній характер по відношенню до користувачів і обслуговуючого персоналу корпоративної мережі. Це відбувається через те, що будь-яка система захисту, за визначенням, завжди накладає на роботу обмеження організаційного і технічного характеру.

Тому одним з основних принципів створення системи комплексного захисту інформації повинен стати принцип максимальної дружності. Тобто не слід вводити заборони там, де без них можна обійтися, а якщо вже і вводити обмеження, то перед цим подивитися як це можна зробити з мінімальними незручностями для користувача. При цьому слід врахувати не тільки сумісність створюваної системи комплексного захисту з використовуваною операційною і програмно-апаратною структурою корпоративної мережі і традиціями організації, що склалися.

Впритул до цієї проблеми стоїть принцип прозорості. Корпоративною мережею користуються не тільки висококласні програмісти. Крім того, основне призначення корпоративної мережі є забезпечення виробничих потреб користувачів, тобто робота з інформацією. Тому система захисту інформації повинна працювати у "фоновому" режимі, бути "непомітною" і не заважати користувачам в основній роботі, але при цьому виконувати всі покладені на неї функції.

Принцип превентивної. Треба завжди пам'ятати, що усунення наслідків вияву загроз безпеки інформації зажадає значних фінансових і матеріальних витрат, набагато більших, ніж витрати на створення системи комплексного захисту інформації.

Принцип оптимальності. Оптимальний вибір співвідношення між різними методами і способами парирування загрозам безпеки інформації при ухваленні рішеннь, дозволить в значній мірі скоротити витрати на створення системи захисту інформації.

Принцип адекватності. Ухвалювані рішення повинні бути диференційовані залежно від важливості, частоти і вірогідності виникнення загроз безпеки інформації, ступеня конфіденційності самої інформації і її комерційної вартості.

Принцип системного підходу до побудови системи захисту дозволяє закласти комплекс заходів щодо парирування загрозам безпеки інформації вже на стадії проектування корпоративної мережі, забезпечивши оптимальне поєднання організаційних і інженерно-технічних заходів захисту інформації. Важливість реалізації цього принципу заснована на тому, що обладнання діючої незахищеної корпоративної мережа засобами захисту інформації складніше і дорожче, ніж початкове проектування і побудова її в захищеному варіанті.

Принцип адаптивної. Система захисту інформації повинна будуватися з урахуванням можливої зміни конфігурації мережі, числа користувачів і ступеня конфіденційності і цінності інформації. При цьому, введення кожного нового елемента мережі або зміна діючих умов не повинні знижувати досягнутий рівень захищеності корпоративної мережі в цілому.

Принцип доказовості. При створенні системи захисту інформації необхідне дотримання організаційних заходів усередині корпоративної мережі, включаючи прив'язку логічного і фізичного робочих місць один до одного, і застосування спеціальних апаратно-програмних засобів ідентифікації, аутентифікації і підтвердження автентичності інформації. Реалізація даного принципу дозволяє скоротити витрати на ускладнення системи, наприклад застосовувати цифровий електронний підпис тільки при роботі з видаленими і зовнішніми робочими місцями і терміналами, пов'язаними з корпоративною мережею по каналах зв'язку.

Ці принципи повинні бути покладені в основу при виборі напрямів забезпечення безпеки корпоративної мережі, функцій і заходів захисту інформації.